[Drongo]

Если уже кто-то сталкивался с это бякой, опишите ваши действия »

Самый простой случай, над которым я экспериментировал. Загрузился с BarPE, подгрузил реестр, В значении ключа "Userinit"="C:\\WINDOWS\\system32\\userinit.exe," был другой файл - C:\WINDOWS\system32\user.exe - файл удаляем, пишем правильное значение в к ключах Shell и Userinit. Всё.

Знаю есть варианты, когда нужно было ещё очистить папки Temp и в том числе находящиеся в Documents and Setting\_name_profile_

Здесь можно найти некоторые варианты рецептов против sms-вымогателя

Мне само окно убрать не проблема, правда до следующего перезапуска »

А что мешает сделать в этот момент логи утилитой AVZ ? Нет возможности?

[yurfed]

А что мешает сделать в этот момент логи утилитой AVZ »

Да просто блокировано всё напрочь. Замена расширения на *.COM и другие, не прокатила.
В любом случае, системники нужно отдавать и полюбому что-то придумывать.
Завтра днём или вечером отпишусь.

[iskander-k]

МБАМ пробовал ? Она не плохо чистит реестр от неправильных ключей ко всему прочему..


Попробуйте код 10555811 или 561139

и попробуйте перевести время на пару месяцев назад и если запустится нормально, проверить курейтом.

[Drongo]

Замена расширения на *.COM и другие, не прокатила. »

Был ещё случай недавно, когда обе версии AVZ - обычная и полиморфная не запускались, смена расширений не помогла, потому что имя у них было avz, помогло простое переименование файла в 111.ехе. Возможно в теле вируса прописан запрет на запуск AVZ по имени avz. Попробуй полиморфную версию AVZ, и смени у неё имя с avz.exe, на 123.exe. По идее должно сработать.

[yurfed]

Drongo, да я же говорю, блокируется всё напрочь. Сейчас возьмус за сказанное мной выше. Отпишусь.

[thyrex]

Раз уж лазаете ручками в реестре, тогда смотреть ветку

Код:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

и в параметре AppInit_DLLs убирать вредную dll-ку

Перезагружаемся и после этого сможете сделать логи

[yurfed]

Не помогло ничего. Мутить это дело небыло времени, просто переустановил. Такая ботва.
Вопрос всё ещё актуален

[Drongo]

Может попробовать отследить все файлы, которые были созданы в течении 1-го месяца?

• Скачать RSIT или отсюда. Запустить, выберать проверку файлов за последний месяц (1 Month) и нажать -Продолжить (Continue). Должны открыться два отчета log.txt и info.txt. Смотрим в log.txt Логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

А там по списку посмотреть на подозретильные...

[thyrex]

Вопрос всё ещё актуален »

По указанному мной в сообщении №7 пути в реестре попасть сумел?